CSSA 독점 조기 경보9.6 치명적
cal.diy가 인가 결함으로 팀 예약을 권한 밖에서 처리당해 데이터가 훼손됨
이 결함은 예약 접근 제어 모듈에 하드코딩된 권한 검증 스텁 서비스가 팀 예약 상황을 처리할 때 항상 허용 상태를 반환해, 상위 라우트 처리기가 미인가 요청을 차단하지 못하는 데서 비롯됩니다. 공격자는 일반 사용자 자격 증명만 얻으면 네트워크 인터페이스로 악의적인 확인 지시를 구성하고, 대상 예약 식별 매개변수를 변조해 권한 이탈 로직을 발동시킬 수 있습니다. 이 경로는 동적 신원 결속 메커니즘을 곧바로 우회하므로, 공격자는 처리 대기 중인 임의의 팀 일정을 불법으로 승인하거나 거절할 수 있고, 이를 통해 조직 구성원의 사적인 예약 기록으로 횡적 침투할 수 있습니다. 영향을 받는 시스템은 테넌트 간 권한 이탈 읽기·쓰기와 업무 흐름 질서의 교란이라는 위협에 직면합니다.
컴포넌트
cal.diy는 기업 수준의 일정 관리와 예약 스케줄링을 위한 오픈소스 애플리케이션 플랫폼입니다. 핵심 아키텍처는 tRPC 통신 프로토콜과 서비스 계층 추상 설계를 기반으로 하며, 이벤트 유형 정의, 팀 계층 구분, 예약 생명주기 관리 등 핵심 모듈을 내장했습니다. 모…
유형
Missing Authorization (CWE-862)
저장소
github.com/calcom/cal.diy · Star 47713
대응 방안
- 개발팀은 테스트용 권한 검증 스텁 코드를 모두 제거하고 관계형 데이터베이스에 기반한 실제 인가 구현으로 교체해, 사용자 신원 결속과 역할 권한 매핑 검증을 엄격히 수행할 것을 권장합니다. 민감한 업무 지점에는 최소 특권 원칙을 적용해 데이터 작업 전마다 문맥 권한을 재확인하십시오. 아울러 자동화된 인가 테스트 케이스와 전 구간 감사 로그를 도입하고, 이런 유형의 논리 결함을 막기 위한 방어적 프로그래밍 규범을 확립하십시오.
